Come l’AI Act impatta sulle aziende digitali: guida alla conformità 2026

L’intelligenza artificiale è entrata nel quotidiano delle aziende digitali italiane. Dal chatbot che risponde ai clienti sul sito e-commerce agli algoritmi che ottimizzano le campagne marketing, dalla generazione di contenuti ai sistemi di raccomandazione dei prodotti, gli strumenti AI intervengono in attività che riguardano clienti, dati e decisioni aziendali.

Se la tua azienda utilizza questi strumenti, devi verificare quali obblighi dell’AI Act si applicano al sistema e all’uso che ne fai. Il Regolamento (UE) 2024/1689 riguarda anche le aziende che integrano soluzioni sviluppate da altri: le responsabilità cambiano secondo l’impiego del sistema e il ruolo assunto dall’azienda.

Alcune disposizioni sono già applicabili. Dal 2 febbraio 2025 si applicano i primi divieti sulle pratiche di IA e l’obbligo di alfabetizzazione previsto dall’articolo 4. Nella formulazione aggiornata, fornitori e deployer devono adottare misure a sostegno dell’alfabetizzazione IA del personale e delle altre persone che utilizzano i sistemi per loro conto. Queste misure devono tenere conto della preparazione e dell’esperienza delle persone, delle modalità d’uso dei sistemi e delle persone interessate dai loro effetti.

In Legal for Digital affrontiamo questi obblighi partendo dai processi aziendali: l’impiego dell’AI in una campagna marketing o nel servizio clienti richiede verifiche diverse da quelle necessarie per selezionare il personale. Chiarire gli adempimenti prima di adottare o modificare uno strumento permette di organizzare il lavoro tenendo conto anche delle responsabilità verso clienti e fornitori.

Cos’è l’AI Act: la prima legge europea sull’intelligenza artificiale

Il Regolamento (UE) 2024/1689 disciplina lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale. È entrato in vigore il 1° agosto 2024 e prevede un’applicazione graduale delle disposizioni, con decorrenze diverse secondo gli obblighi e i sistemi interessati.

Perché serviva una legge sull’intelligenza artificiale?

L’aumento esponenziale dell’adozione di sistemi AI ha sollevato questioni fondamentali su etica, privacy e sicurezza. Senza regole chiare, i rischi erano evidenti: compromissione della sicurezza dei dati personali, discriminazione algoritmica, utilizzi dell’AI potenzialmente dannosi per persone e società.

Ma l’AI Act non nasce per bloccare l’innovazione. Al contrario, la normativa europea crea un ambiente di fiducia che favorisce lo sviluppo sostenibile della tecnologia. Le aziende che operano nel rispetto delle regole possono accedere a un mercato di 450 milioni di consumatori con la certezza di operare in un quadro giuridico stabile e uniforme in tutti gli Stati membri.

L’approccio innovativo basato sul rischio

L’AI Act introduce un sistema di classificazione rivoluzionario: invece di vietare o permettere tout court, categorizza i sistemi AI in base al rischio che rappresentano. Questo approccio permette di mantenere la libertà di innovazione per la maggior parte delle applicazioni, concentrando controlli e requisiti solo dove realmente necessario.

I quattro livelli di rischio vanno dal minimo, dove non ci sono obblighi specifici, all’inaccettabile, dove determinati utilizzi sono completamente vietati. La maggior parte delle applicazioni aziendali, inclusi chatbot, sistemi di raccomandazione e tool di content generation, ricade nella categoria di rischio limitato, con obblighi principalmente legati alla trasparenza.

Gli obiettivi strategici del regolamento

L’AI Act persegue quattro obiettivi fondamentali:

1. Garantire che l’AI utilizzata nell’UE sia sicura e rispetti i diritti fondamentali delle persone. Questo significa che ogni sistema deve essere progettato e utilizzato nel rispetto della dignità umana, della privacy e della non discriminazione.
2. Creare certezza giuridica per favorire investimenti e innovazione. Le aziende possono finalmente pianificare strategie di lungo termine sapendo esattamente quali sono i limiti e le opportunità normative.
3. Migliorare la governance e l’applicazione effettiva delle norme sull’AI esistenti. Il regolamento crea un sistema di autorità competenti e meccanismi di enforcement chiari e uniformi.
4. Facilitare lo sviluppo di un mercato unico per applicazioni AI legittime e affidabili. La conformità all’AI Act diventa un passaporto per operare in tutta l’Unione Europea, eliminando barriere e frammentazioni nazionali.

Come l’AI Act trasforma il mercato digitale europeo

Il regolamento non è solo compliance, ma opportunità strategica. Le aziende conformi all’AI Act potranno vantare un livello di affidabilità e trasparenza che diventerà sempre più un criterio di scelta per consumatori e partner commerciali. La trasparenza diventa elemento di differenziazione competitiva, la documentazione tecnica si trasforma in asset aziendale, la formazione del personale in investimento strategico.

I 4 livelli di rischio dell’AI Act spiegati per chi fa business online

L’AI Act classifica ogni sistema di intelligenza artificiale in quattro categorie di rischio, dal minimo all’inaccettabile. Questa classificazione determina quali obblighi la tua azienda deve rispettare: più alto è il rischio, maggiori sono i requisiti di conformità. Comprendere in quale categoria ricadono i tuoi sistemi AI è fondamentale per pianificare le azioni necessarie e trasformare la compliance in vantaggio competitivo.

Rischio inaccettabile: i sistemi AI completamente vietati

Dal 2 febbraio 2025, alcuni utilizzi dell’intelligenza artificiale sono illegali nell’Unione Europea. L’articolo 5 dell’AI Act stabilisce un elenco tassativo di pratiche vietate che le aziende devono conoscere per evitare violazioni involontarie.

• Il social scoring basato su AI è vietato in qualsiasi forma. Se il tuo e-commerce stava pensando di creare un sistema che assegna punteggi ai clienti basandosi sul loro comportamento sociale, recensioni negative o interazioni sui social media per poi discriminarli nell’accesso a servizi o prezzi, devi abbandonare immediatamente questo progetto. La norma vieta qualsiasi sistema che classifichi le persone fisiche sulla base del comportamento sociale o caratteristiche personali in modo da causare trattamenti sfavorevoli.

• I sistemi di riconoscimento emotivo nei luoghi di lavoro sono fuorilegge. Le aziende che utilizzavano software per analizzare le espressioni facciali dei dipendenti durante le videocall, monitorare il loro stato emotivo o valutare l’engagement attraverso l’AI devono cessare immediatamente queste pratiche. Il divieto si estende anche ai sistemi utilizzati in ambito educativo.
• Le tecniche subliminali o manipolative attraverso AI sono proibite. Qualsiasi sistema progettato per distorcere materialmente il comportamento di una persona sfruttando vulnerabilità legate all’età, disabilità o situazione economica è illegale. Questo include algoritmi di marketing predatorio che targetizzano deliberatamente persone vulnerabili per spingerle a decisioni dannose.
• Lo scraping biometrico non mirato è vietato. La creazione di database di riconoscimento facciale attraverso la raccolta massiva e indiscriminata di immagini da internet o CCTV è illegale. Le aziende che utilizzano servizi di terze parti basati su questi database devono verificare la conformità dei loro fornitori.

Alto rischio: quando l’AI richiede requisiti stringenti

I sistemi AI ad alto rischio non sono vietati ma soggetti a obblighi così complessi che molte aziende preferiscono alternative. Dal 2 agosto 2026, questi sistemi dovranno rispettare requisiti dettagliati di conformità, documentazione e supervisione umana.

L’AI nel recruiting e HR è territorio ad alto rischio. Se la tua azienda utilizza sistemi automatizzati per lo screening dei CV, software che conducono video-interviste con analisi automatica delle risposte, algoritmi che suggeriscono promozioni o licenziamenti, dovrai implementare misure rigorose. Questi includono: documentazione tecnica dettagliata del funzionamento del sistema, test periodici per identificare e correggere bias discriminatori, meccanismi di supervisione umana sempre attiva, possibilità per i candidati di richiedere revisione umana delle decisioni.

I sistemi AI nel credito e servizi finanziari ricadono in questa categoria. Algoritmi di credit scoring, valutazione automatica per prestiti o mutui, sistemi di pricing assicurativo basati su AI richiedono trasparenza algoritmica completa. Le aziende devono garantire spiegabilità delle decisioni, audit periodici certificati, meccanismi di contestazione per i clienti.

L’AI per l’accesso a servizi essenziali è ad alto rischio. Se il tuo sistema decide chi può accedere a servizi sanitari, prestazioni sociali, istruzione o servizi pubblici essenziali, gli obblighi sono massimi. Anche piattaforme private che gestiscono servizi considerati essenziali ricadono in questa categoria.

La biometria per identificazione è generalmente ad alto rischio. Sistemi di riconoscimento facciale per l’accesso, identificazione biometrica dei clienti, verifica dell’identità attraverso caratteristiche biometriche richiedono conformità rigorosa, salvo eccezioni specifiche per verifica uno-a-uno con consenso esplicito.

Rischio limitato: la categoria della maggior parte delle AI aziendali

Qui ricade il 70% dei sistemi AI utilizzati dalle aziende digitali italiane. Gli obblighi si concentrano principalmente sulla trasparenza e sono già applicabili dal 2 febbraio 2025.

• I chatbot devono dichiararsi immediatamente come AI. Se il tuo sito e-commerce, la tua agenzia o il tuo SaaS utilizza assistenti virtuali, il sistema deve informare chiaramente l’utente che sta interagendo con un’AI fin dal primo messaggio. Non sono ammesse formulazioni ambigue: il messaggio deve essere chiaro, visibile e comprensibile. Best practice: “Ciao! Sono l’assistente virtuale di Nome Azienda, un sistema di intelligenza artificiale progettato per aiutarti”.
• I sistemi di content generation richiedono watermarking. Ogni contenuto generato da AI, che sia testo, immagine, audio o video, deve essere identificabile come tale. Per i testi, è sufficiente una dichiarazione chiara. Per contenuti multimediali, servono watermark tecnici che permettano l’identificazione automatica. Questo vale anche se usi l’AI solo per assistenza nella creazione: se ChatGPT ti aiuta a scrivere un articolo che poi modifichi, va comunque dichiarato.
• I sistemi di raccomandazione devono essere trasparenti. Gli algoritmi che suggeriscono prodotti, contenuti o servizi devono spiegare la logica generale delle raccomandazioni. Non serve rivelare l’algoritmo proprietario, ma l’utente deve capire perché vede certi suggerimenti. Esempio di conformità: “Questi prodotti sono consigliati in base ai tuoi acquisti precedenti e a quelli di clienti con interessi simili”.
• L’emotion recognition per scopi commerciali richiede trasparenza. Se analizzi le reazioni degli utenti ai contenuti, monitori il sentiment sui social o usi AI per capire le emozioni dei clienti, devi informarli e ottenere consenso specifico. Questo si aggiunge agli obblighi GDPR già esistenti.

Rischio minimo: dove la compliance è semplice

I sistemi AI a rischio minimo non hanno obblighi specifici secondo l’AI Act, ma questo non significa zero responsabilità. Il GDPR continua ad applicarsi, così come la normativa generale sulla responsabilità d’impresa.

• Filtri antispam e sistemi di moderazione automatica ricadono tipicamente in questa categoria. Se utilizzi AI per filtrare email indesiderate, moderare commenti palesemente spam o identificare contenuti inappropriati, non hai obblighi aggiuntivi AI Act.
• Strumenti di ottimizzazione e automazione interna sono generalmente a rischio minimo. Algoritmi per l’ottimizzazione delle scorte di magazzino, sistemi di routing per le consegne, AI per la manutenzione predittiva non richiedono misure specifiche se non processano dati personali in modo significativo.
• Traduttori automatici e correttori ortografici basati su AI sono considerati rischio minimo. Tuttavia, attenzione all’uso dei dati: se il sistema apprende dai testi degli utenti, potrebbero applicarsi obblighi GDPR.
• Gaming e entertainment AI sono generalmente a rischio minimo. Nemici controllati da AI nei videogiochi, generatori procedurali di livelli, sistemi di matchmaking nei giochi online non hanno obblighi specifici, salvo casi particolari di manipolazione o dipendenza.

Come determinare il livello di rischio dei tuoi sistemi?

Per ogni sistema AI che utilizzi, poniti queste domande in sequenza:

1. Il sistema prende decisioni automatizzate che impattano significativamente le persone? Se sì, valuta se riguarda ambiti sensibili come lavoro, credito, servizi essenziali. Questi sono segnali di alto rischio.
2. Il sistema interagisce direttamente con le persone? Se sì, probabilmente ricade nel rischio limitato con obblighi di trasparenza immediati.
3. Il sistema usa tecniche manipolative o processa dati biometrici per identificazione? Se sì, verifica attentamente l’articolo 5: potresti essere in zona vietata.
4. Il sistema opera solo internamente senza impatto diretto su persone esterne? Probabilmente è a rischio minimo, ma verifica sempre gli aspetti GDPR.

La classificazione corretta è fondamentale: sottostimare il rischio espone a sanzioni, sovrastimarlo crea costi di compliance non necessari. In Legal for Digital analizziamo ogni sistema nel contesto specifico del tuo business, perché la stessa tecnologia può avere classificazioni diverse in base all’uso concreto che ne fai.

Obblighi e scadenze AI Act: cosa verificare in azienda

Dopo aver classificato i sistemi AI che utilizzi, devi associare a ciascuno gli obblighi applicabili e la relativa decorrenza. Un chatbot per il servizio clienti e un software per selezionare il personale possono essere soggetti a disposizioni che si applicano in momenti diversi. Il calendario va quindi letto insieme alla funzione del sistema e al ruolo della tua azienda.

Gli obblighi già applicabili dal 2 febbraio 2025

Dal 2 febbraio 2025 si applicano i primi divieti dell’articolo 5 e l’obbligo di alfabetizzazione IA dell’articolo 4. La verifica riguarda sia gli impieghi consentiti sia le misure adottate per le persone che lavorano con i sistemi.

Pratiche vietate. Se un impiego dell’AI rientra in un divieto già applicabile dell’articolo 5, devi interromperlo. La valutazione deve considerare le condizioni e le eventuali eccezioni previste dalla disposizione: il divieto riguarda una determinata pratica, non qualsiasi utilizzo della stessa tecnologia.

Alfabetizzazione IA del personale. Fornitori e deployer devono adottare misure che sostengano lo sviluppo dell’alfabetizzazione delle persone che operano con i sistemi per loro conto. Le misure devono considerare conoscenze, esperienza, istruzione e formazione, modalità d’uso dell’AI e persone interessate dai suoi effetti. Il testo aggiornato esclude la garanzia di un determinato livello di alfabetizzazione individuale.

Per organizzare queste misure, puoi individuare ciò che serve alle persone nelle rispettive attività:

• funzionamento degli strumenti utilizzati e loro limiti;
• rischi collegati agli impieghi previsti;
• implicazioni giuridiche dell’utilizzo;
• procedure aziendali da seguire e situazioni che richiedono un controllo umano.

La formazione va adattata alle mansioni e agli strumenti: un social media manager che usa ChatGPT per creare contenuti avrà esigenze diverse da un developer che integra API di AI nel software aziendale. Conservare programmi, materiali e registrazioni delle attività svolte aiuta a ricostruire le misure adottate; eventuali verifiche dell’apprendimento possono essere organizzate in relazione agli obiettivi formativi.

Governance e modelli per finalità generali

Dal 2 agosto 2025 si applicano le disposizioni sulla governance e sui modelli di IA per finalità generali, con le eccezioni e i regimi transitori previsti dal regolamento. Questa data non coincide con l’applicazione di tutti gli obblighi dell’AI Act.

In Italia, la Legge 132/2025 ha designato AgID quale autorità di notifica e ACN quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee, ferme le competenze delle autorità di settore. Il Garante mantiene i propri poteri sulla protezione dei dati personali.

Se utilizzi API di terzi, devi distinguere gli obblighi del fornitore del modello da quelli della tua azienda. Chi integra un modello in un proprio sistema e chi utilizza un sistema sotto la propria autorità possono assumere ruoli diversi. Anche gli eventuali adempimenti di registrazione vanno individuati in base al sistema e al soggetto obbligato.

Il calendario aggiornato e i sistemi già sul mercato

Le decorrenze da verificare comprendono:

• 2 agosto 2026: data generale di applicazione del regolamento, comprese le disposizioni sulla trasparenza, salvo le decorrenze differenziate.
• 2 dicembre 2026: applicazione dei nuovi divieti indicati dall’articolo 113. Entro questa data, i fornitori dei sistemi generativi già immessi sul mercato prima del 2 agosto 2026 devono adeguarsi agli obblighi di marcatura degli output dell’articolo 50, paragrafo 2.
• 2 agosto 2027: termine di adeguamento per i fornitori dei modelli per finalità generali immessi sul mercato prima del 2 agosto 2025.
• 2 dicembre 2027: applicazione delle disposizioni interessate del capo III ai sistemi ad alto rischio dell’allegato III, come determinati sistemi per selezione del personale e valutazione del merito creditizio.
• 2 agosto 2028: applicazione delle disposizioni interessate del capo III ai sistemi ad alto rischio collegati ai prodotti disciplinati dalla normativa dell’allegato I.

Per i sistemi ad alto rischio già immessi sul mercato o messi in servizio prima della rispettiva decorrenza, va verificato il regime transitorio dell’articolo 111, che considera anche eventuali modifiche rilevanti nella progettazione intervenute da quella data. Per quelli destinati alle autorità pubbliche, il medesimo regime prevede l’adeguamento entro il 2 agosto 2030.

Per la tua azienda, il calendario deve quindi tradursi in attività associate ai singoli sistemi: verificare gli obblighi già applicabili e programmare gli adeguamenti futuri in base all’impiego previsto.

Le sanzioni AI Act: come si determinano per la tua azienda

Per valutare l’esposizione della tua azienda, devi individuare l’obbligo violato, la sua decorrenza e il massimale applicabile. L’articolo 99 distingue queste fasce:

• Pratiche vietate dall’articolo 5: fino a 35 milioni di euro o il 7% del fatturato mondiale totale annuo dell’esercizio precedente.
• Violazioni degli obblighi elencati nell’articolo 99, paragrafo 4: fino a 15 milioni di euro o il 3%. Rientrano, fra gli altri, gli obblighi dei deployer di sistemi ad alto rischio e quelli sulla trasparenza.
• Informazioni inesatte, incomplete o fuorvianti, fornite agli organismi notificati o alle autorità nazionali competenti in risposta a una richiesta: fino a 7,5 milioni di euro o l’1%.

La mancata alfabetizzazione IA non comporta automaticamente la sanzione da 15 milioni di euro o del 3%: l’articolo 4 non compare nell’elenco delle violazioni soggette a questa fascia.

Il confronto fra importo fisso e fatturato

In via generale, per le imprese si considera il maggiore fra importo fisso e percentuale del fatturato. Per le PMI, comprese le start-up, il massimale è invece il minore fra i due valori.

Per esempio, per una PMI con 10 milioni di euro di fatturato mondiale annuo, una violazione dell’articolo 5 ha un massimale di 700.000 euro. Per una grande impresa con un miliardo di fatturato, il massimale della stessa violazione è 70 milioni di euro.

Per le imprese della categoria small mid-cap (SMC), il confronto sul valore minore riguarda le fasce dei paragrafi 4 e 5 dell’articolo 99.

La fascia per FRIA e diritto alla spiegazione

Il D.Lgs. 179/2026, che entra in vigore il 23 ottobre 2026, prevede una fascia specifica per la violazione degli obblighi dell’articolo 27, sulla FRIA, e dell’articolo 86, sul diritto alla spiegazione: fino a un milione di euro oppure, se superiore, lo 0,5% del fatturato mondiale totale annuo dell’esercizio precedente.

Questa previsione va collegata alle condizioni e alle decorrenze degli obblighi interessati. Per le PMI, il decreto rinvia al criterio previsto dall’articolo 99, paragrafo 6.

Come viene stabilita la sanzione effettiva

I valori indicati sono massimali, non somme applicate automaticamente. L’autorità valuta le circostanze della violazione, fra cui:

• natura, gravità, durata e conseguenze;
• carattere doloso o colposo;
• dimensioni e fatturato dell’impresa;
• cooperazione con le autorità e interventi per limitare il danno;
• precedenti sanzioni pertinenti e misure tecniche e organizzative adottate.

La stima del rischio economico deve quindi considerare anche come l’azienda ha gestito il sistema e affrontato la violazione.

Come adeguarsi all’AI Act valorizzando il tuo business

La conformità all’AI Act richiede un percorso strutturato che parte da una domanda: quali sistemi di intelligenza artificiale utilizza la mia azienda? 

La risposta è sempre più complessa del previsto. L’AI non è solo ChatGPT o il chatbot sul sito: si nasconde nelle funzionalità di molti software che utilizziamo quotidianamente, dalle piattaforme di email marketing ai CRM, dai tool di analisi dati ai sistemi di gestione documentale.

Censire i sistemi AI utilizzati in azienda

Marketing, vendite, customer service e risorse umane possono utilizzare strumenti AI diversi, comprese funzionalità integrate nei software già adottati. Il censimento deve comprendere gli utilizzi effettivi, anche quelli non autorizzati dall’azienda, che rientrano nel fenomeno della Shadow AI. Ignorare questi usi lascia fuori dalla valutazione attività per le quali l’azienda potrebbe non aver ancora definito procedure e controlli.

Classificazione del rischio

Una volta mappati i sistemi, serve classificarli secondo i quattro livelli di rischio dell’AI Act. Questa classificazione determina quali obblighi applicare e con quale priorità.

FRIA e registro AI: obblighi e documentazione aziendale

Per ogni sistema va individuata la documentazione richiesta in base all’impiego e al ruolo dell’azienda. La Valutazione d’Impatto sui Diritti Fondamentali (FRIA) riguarda gli utilizzi e i soggetti individuati dall’articolo 27: l’obbligo non si estende indistintamente a tutte le imprese che usano sistemi ad alto rischio.

Per i sistemi ad alto rischio dell’allegato III, esclusi quelli relativi alle infrastrutture critiche indicati al punto 2, la disposizione prevede la valutazione per:

• enti governati dal diritto pubblico;
• soggetti privati che forniscono servizi pubblici;
• deployer dei sistemi indicati ai punti 5, lettere b) e c), destinati alla valutazione del merito creditizio delle persone fisiche oppure del rischio e delle tariffe nelle assicurazioni sulla vita e sulla salute.

L’obbligo va verificato insieme alle decorrenze e al transitorio già indicati. Quando applicabile, la valutazione deve precedere il primo utilizzo del sistema ed essere aggiornata se cambiano gli elementi esaminati.

La FRIA comprende:

• descrizione dei processi nei quali verrà utilizzato il sistema;
• periodo e frequenza d’uso;
• categorie di persone e gruppi interessati;
• rischi specifici di danno;
• misure di supervisione umana;
• misure da adottare se i rischi si materializzano, comprese le procedure interne e i meccanismi di reclamo.

La valutazione considera anche diritti ulteriori rispetto alla protezione dei dati, come la non discriminazione e l’accesso ai servizi.

Per organizzare le informazioni sui sistemi adottati, un registro interno può aiutarti a collegare strumenti, utilizzi e responsabilità. Per ciascun sistema puoi annotare chi lo usa, per quali attività, con quali dati e quali output produce, insieme al responsabile, ai controlli previsti e agli aggiornamenti effettuati. Il registro permette così di ricostruire gli impieghi dell’AI quando cambiano software, funzioni o procedure aziendali.

Formazione e regole per l’uso dell’AI in azienda

Le misure di alfabetizzazione IA vanno organizzate in base alla preparazione e all’esperienza delle persone, alle attività svolte e ai soggetti interessati dagli effetti dei sistemi. Possono comprendere formazione mirata e istruzioni operative per riconoscere limiti e rischi degli strumenti e seguire le procedure aziendali.

Un regolamento IA aziendale può formalizzare gli strumenti consentiti e le condizioni d’uso, comprese le procedure da seguire quando si caricano dati o si controllano gli output. Le indicazioni ricevute durante la formazione trovano così applicazione nelle attività quotidiane.

AI Act e GDPR: gestione integrata della compliance

L’AI Act non sostituisce il GDPR. Quando utilizzi sistemi AI che trattano dati personali, devi verificare sia le condizioni del trattamento sia gli obblighi relativi al sistema e al ruolo della tua azienda. Le informazioni già raccolte nel registro AI aiutano a individuare quali dati vengono utilizzati, per quali attività e da quali soggetti.

La base giuridica va individuata per il trattamento effettivo. Consenso, esecuzione del contratto e legittimo interesse richiedono di verificare le rispettive condizioni previste dall’articolo 6 del GDPR. Per esempio, usare i dati per rispondere a una richiesta del cliente e destinarli all’addestramento di un modello sono operazioni da valutare rispetto alle rispettive finalità.

Se integri un chatbot sul sito, verifica con il fornitore anche come l’utente viene informato dell’interazione con un’AI, nei casi previsti dall’articolo 50. Questa informazione e l’informativa privacy hanno funzioni diverse: la prima rende riconoscibile l’interazione con il sistema; la seconda descrive il trattamento dei dati personali. La configurazione del servizio deve rispettare gli obblighi applicabili a entrambe.

DPIA e FRIA hanno presupposti e contenuti distinti. La DPIA è richiesta quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, secondo l’articolo 35 del GDPR. Quando sono richieste entrambe le valutazioni, l’articolo 27 dell’AI Act permette di includere nella FRIA parti pertinenti della DPIA o rinvii a essa, se soddisfano gli obblighi corrispondenti. Gli ulteriori aspetti richiesti dalla FRIA devono essere esaminati e documentati.

Anche per le decisioni automatizzate occorre distinguere le condizioni applicabili. L’articolo 22 del GDPR riguarda le decisioni basate unicamente sul trattamento automatizzato, che producono effetti giuridici o conseguenze di rilevanza equivalente sulla persona. Prevede eccezioni specifiche; per le decisioni ammesse perché necessarie a un contratto o fondate sul consenso esplicito, le garanzie comprendono l’intervento umano, la possibilità di esprimere la propria opinione e di contestare la decisione. 

L’articolo 86 dell’AI Act disciplina invece un diritto alla spiegazione per determinate decisioni del deployer fondate sull’output di sistemi ad alto rischio dell’allegato III, esclusi quelli del punto 2. Le decisioni devono produrre effetti giuridici o conseguenze di importanza analoga, percepite dalla persona come lesive della salute, della sicurezza o dei diritti fondamentali. La spiegazione riguarda il ruolo dell’AI e i principali elementi della decisione, nei limiti e con le eccezioni previsti dalla disposizione.

Usare l’AI in azienda con Legal for Digital

Se stai integrando l’AI nel tuo e-commerce o nei servizi che offri ai clienti, la valutazione legale deve accompagnare il progetto. Sapere quali dati riceve un chatbot, per esempio, permette di definire le informazioni da dare all’utente e gli accordi con il fornitore prima di attivare il servizio. Gli adempimenti vanno collegati al funzionamento degli strumenti, così puoi individuare le modifiche necessarie mentre stai decidendo come utilizzarli.

Con il servizio di AI governance aziendale, noi di Legal for Digital esaminiamo come usi l’intelligenza artificiale e ti aiutiamo a definire procedure che il team possa applicare nel proprio lavoro. Colleghiamo gli obblighi legali ai processi di marketing, vendita e assistenza, coordinando la gestione dell’AI con quella dei dati personali.

Puoi coinvolgerci sia quando scegli un nuovo strumento sia quando devi rivedere un’integrazione già attiva.

FAQ: le domande più frequenti delle aziende digitali sull’AI Act